以前は頻繁に耳にした「情報漏洩祭り」という言葉も、PHPまわりの脆弱性対策が進んでから、あまり聞かなくなった気がする。それだけに、今回の一件は、古い問題が形を変えて表に出てきたようにも見えた。
もちろん、サービス提供側には守るべき情報と責任がある。セキュリティ対策の甘さが疑われるなら、まず問われるべきはそこだ。一方で、攻撃者がXで「毎日ひとつずつ個人情報を出す」と匂わせるような振る舞いには、どこか幼さも感じた。被害を広げることを、自己表現や注目集めのように扱っているように見えてしまう。
AIの登場で、専門的な知識が十分でなくても、攻撃のための情報や手順にたどり着きやすくなった。だからこそ、年齢や経験にかかわらず、以前なら実行に移せなかった人まで手を出せる環境になっている。そのこと自体が、今回の事件を考えるうえで大きな要因なのではないかと思う。
PHPの脆弱性についても、設計上の懸念が長く認識されながら、明確な修正方針を決められないまま残されてきた問題があるという。放置された穴は、いつか誰かに見つかる。そして実際に、そこを突かれる。
だからこそ疑問が残る。こうした問題に、ホワイトハッカーやセキュリティの専門家はなぜもっと早く光を当てられなかったのか。攻撃者を責めるだけではなく、脆弱性を放置しない仕組みと、早く見つけて直せる文化を、改めて考える必要がある。